教材学习内容总结
1.Web应用程序安全攻防
1.1 web应用体系结构及其安全威胁
web应用体系结构:
&ensp“瘦”客户端：浏览器，完成数据显示与展示内容的渲染功能；
“胖”服务器：web服务器软件、web应用程序、后端数据库。
通过经典三层架构：表示层、业务逻辑层和数据层来组织和构建。
传输协议HTTP/HTTPS:
1）超文本传输协议HTTP无状态、ASCII码明文传输、运行于众所周知的TCP80端口。特点：简单、流行、易受攻击。
2）加密传输的HTTPS协议，使用ssl/tls隧道技术，采用多种认证协议实现对用户身份的人认证与控制。
web应用安全威胁:
1）针对浏览器和终端用户的web浏览安全威胁：以浏览器渗透攻击为核心的网页木马、网站钓鱼。
2）针对传输网络的网络协议安全威胁：针对HTTP明文传输的敏感信息监听、假冒身份攻击、拒绝服务攻击等。
3）系统层安全威胁：远程渗透攻击和本地渗透攻击温威胁。
4）web服务器软件安全威胁：利用漏洞实施渗透攻击、获取敏感信息。
5）web数据安全威胁：窃取、篡改、输入不良信息。
1.2 Web应用程序安全攻防技术概述
信息收集内容包括：
服务器域名
ip地址和虚拟ip地址
web服务器端口与其他开放服务
web站点类型和版本
web应用程序类型和版本
web服务器和web应用程序中存在的安全漏洞信息
方式包括：
手工审查web应用程序结构与源代码
自动下载与镜像web站点页面：lynx、wget、teleportpro、offline explorer等web站点镜像软件。
使用google hacking技术审查与探测web应用程序
web应用程序安全评估与漏洞探测：浏览器插件、免费工具集、商业web应用安全评估系统和漏洞扫描器。
Web服务器平台安全漏洞：
数据驱动的远程代码执行安全漏洞
服务器功能拓展模块漏洞
样本文件安全漏洞
源代码泄露
资源解析攻击
Web应用程序安全威胁从攻击者技术角度分为如下六类：
针对认证机制攻击
授权机制攻击
客户端攻击
命令执行攻击
信息暴露
逻辑攻击
最流行的的两类Web应用程序安全漏洞及攻击技术：SQL注入和XSS跨站脚本。
攻击Web数据内容：安全敏感数据泄露、网站内容遭到篡改以及不良信息内容上传威胁。
Web应用安全防范措施：
1）web站点网络传输安全防范措施
使用HTTPS
使用加密连接通道、对关键Web服务器设置静态绑定MAC-IP映射。
2）Web站点操作系统及服务安全设防措施
及时的补丁更新
进行远程安全漏洞扫描
关闭不使用的服务
设置强口令字
部署防火墙
数据备份
3）Web应用程序安全设防措施
使用静态HTML
使用具有良好安全声誉及稳定技术支持力量的Web应用软件包
除非必要才使用自主或者外包Web应用程序
使用Web服务器软件提供的日志功能。
4）Web站点数据安全设防措施
提高维护人员数据安全意识
对维护网站数据安全实施日常监测和防护
1.3 SQL注入
本节讲了什么是SQL注入、种类以及原理（课本举了两个例子进行说明）：
利用web应用程序的输入验证不完善漏洞，使得web应用程序执行由攻击者所注入的恶意指令和代码，造成敏感信息泄露、权限提升或对系统的未授权访问等危害后果。
SQL注入攻击步骤：
发现SQL注入点
判断后台数据库类型
后台数据库中管理员用户口令字猜解
上传ASP后门，得到默认账户权限
本地权限提升
利用数据库扩展存储过程执行Shell命令
SQL注入攻击工具：
Wposion 能在动态web文档中找出SQL注入漏洞
wieliekoek.pl 以网站镜像工具生成的输入为输出，对表单页面注入字符串修改
SPIKE Proxy 对待注入的字符串进行定制
SPI Toolkit工具包
本节还举了两个攻击示例。
SQL注入攻击防范：
使用类型安全的参数编码机制
完备检查来自外部的用户输入
将动态SQL语句替换为存储过程、预编译SQL或ADO命令对象
加强SQL数据库服务器的配置与连接
1.4 XSS跨站脚本攻击
与代码注入攻击不同的是，XSS跨站脚本攻击的最终目标不是提供服务的web应用程序，而是使用web应用程序的用户。
XSS攻击技术原理
是Web应用程序对用户数输入内容的安全验证与过滤不完善。
攻击方式
绕过客户端安全策略访问敏感信息，窃取或修改会话Cookie、进行客户端渗透攻击获取访问权。
XSS攻击类型
持久性XSS漏洞和非持久性XSS漏洞，利用这两类漏洞的攻击也称为持久性XSS攻击和非持久性XSS攻击。
攻击实例：测试XSS漏洞、显示用户的会话cookie、窃取用户的会话cookie、利用cookie信息假冒其他用户发表与修改帖子、编写实现XSS蠕虫。
XSS攻击防范措施
服务器端：输入验证、输出净化、消除危险的输入点。
客户端：提升浏览器的安全设置，如关闭cookie或者设置cookie只读等，也可以采用非主流的安全浏览器。
2.Web浏览器安全攻防
2.1 web浏览器安全威胁
Web浏览器软件安全困境三要素：复杂性、可扩展性、连通性。
Web安全威胁位置：
传输网络的网络协议安全威胁
Web浏览端系统平台的安全威胁
Web浏览器软件及插件程序的渗透攻击威胁
互联网用户社会工程学攻击威胁
2.2 Web浏览端渗透攻击威胁——网页木马
本质核心：利用脚本语言实现对web浏览端软件安全漏洞的渗透攻击，从而向客户端主机中植入恶意程序。
防范：提升操作系统与浏览端平台软件的安全性。
2.3 网络钓鱼（phishing）
网络钓鱼是社会工程学在互联网中广泛实施的一种典型攻击方式。
原理：通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出个人敏感信息。
普遍技术流程：
攻击者扫描网段，寻找存有漏洞的服务器；
服务器被攻陷，并被安装一个rootkit或口令保护的后门工具；
攻击者从加密的后门工具获得对服务器的访问权，并下载已经构建完毕的钓鱼网站内容，进行一些网站搭建配置与测试工作，使得钓鱼网站上线运行；
攻击者下载群发电子邮件工具，并大规模散发垃圾邮件；
网页浏览的流量开始到达钓鱼网站，受害者访问并给出个人敏感信息，攻击者通过后台脚本收集这些信息。
防范：增强安全意识、提高警惕性。
第2节 教材学习中的问题和解决过程
1.实践：SEED SQL注入
运行 Apache Server：镜像已经安装，只需运行命令sudo service apache2 start
phpBB2 web 应用：镜像已经安装，通过 http://www.sqllabmysqlphpbb.com 访问。
关闭对抗措施
PHP 提供了自动对抗 SQL 注入的机制，被称为 magic quote，我们需要关闭它。
找到/etc/php5/apache2/php.ini
找到 magic_quotes_gpc = On 这一行改为 magic_quotes_gpc = Off
重启 Apache： ”sudo service apache2 restart”
